
<html>

  <head>

    <meta content="text/html; charset=windows-1252"

      http-equiv="Content-Type">

  </head>

  <body bgcolor="#FFFFFF" text="#000000">

    <br>

    <br>

    <div class="moz-cite-prefix">On 6/11/15 8:37 PM, Alain O'Dea wrote:<br>

    </div>

    <blockquote

cite="mid:CAM6cUzBeNXLqG-_XQvxsExCARGr5OHyq7QsgeZd+0Wu4MnM5Og@mail.gmail.com"

      type="cite">

      <div dir="ltr">

        <div class="gmail_extra">

          <div class="gmail_quote"><br>

            <div>That is extremely helpful Brent.  Thank you.  It seemed

              odd to have a specific page referenced.  Regrettably,

              saml-java explicitly couples the issuer to the

              consumerServiceURL here:</div>

            <div><a moz-do-not-send="true"

href="https://github.com/onelogin/java-saml/blob/4a75209f61e75897a18cde61610efdfd8104b057/src/main/java/com/onelogin/saml/Response.java#L163-165">https://github.com/onelogin/java-saml/blob/4a75209f61e75897a18cde61610efdfd8104b057/src/main/java/com/onelogin/saml/Response.java#L163-165</a></div>

          </div>

        </div>

      </div>

    </blockquote>

    <br>

    Yeah, if I'm reading that right, that's simply wrong.  The Assertion

    audiences should be evaluated against the consuming party's

    entityID.  An Audience is not a location or URL.  The protocol

    Destination and SubjectConfirmation should be evaluated against the

    receiving endpoint, but not the Audiences.<br>

    <br>

    <br>

    <blockquote type="cite">I don't have a choice about issuer being a

      URL unless I reimplement using OpenSAML.  That is becoming a more

      compelling path now as more gaps in saml-java reveal themselves.</blockquote>

    <br>

    Since you mention it: as part of a particular body of work, I've

    just recently checked into OpenSAML 3.x trunk our initial impl of

    components for SAML 2 Assertion validation, which essentially does

    this sort of thing. It will be in the next release.<br>

  </body>

</html>